Come funziona un antivirus? Qual’è il migliore da comprare? In questa guida vedremo nel dettaglio come agisce un antivirus per PC, con tutti gli ultimi metodi scoperti per proteggere i computer dagli attacchi hacker.
In questo modo sarà più chiaro giudicare i tanti prodotti offerti. I programmi dannosi vengono utilizzati continuamente e ogni giorno di più, con conseguenti rischi sempre in agguato.
Oggi si sono evoluti i criminali informatici ma i produttori di antivirus non sono rimasti a guardare. Ai giorni nostri non si può più parlare di virus, ma di una tipologia infinita di attacchi di tutti i generi, classificata sotto il nome di malware.
Tanti tipi di virus
Poiché oggi virus, worm e rootkit sono crittografati e nascosti secondo principi simili, è difficile fare una distinzione precisa. Tuttavia, gli altri differiscono dai trojan per il modo in cui funzionano.
Per dirla semplicemente, un trojan è un programma camuffato come utile, che ha solo lo scopo di contrabbandare altri programmi dannosi nei computer. I trojan possono essere paragonati ai cosiddetti programmi backdoor, che rilevano le lacune di sicurezza esistenti nel sistema al fine di aprire una “porta sul retro” per gli hacker.
Queste backdoor consentono a programmi dannosi come i keylogger di entrare nel sistema per spiare segretamente gli utenti.
In generale, qualsiasi tipo di trojan è anche chiamato malware. Un programma antivirus dovrebbe proteggere il tuo PC e, soprattutto, documenti e foto importanti da codici dannosi e programmi spia.
Non importa che tipo di malware sia, perché il software antivirus funziona sempre allo stesso modo: rileva e identifica il malware, quindi rimuove o mette in quarantena i file sospetti. Come puoi vedere, un virus deve essere riconosciuto prima di poter essere combattuto e rimosso.
Tuttavia, a causa dell’ulteriore sviluppo permanente del malware e della sua imprevedibilità a volte insidiosa, la creazione di uno scanner perfetto con un tasso di rilevamento del 100% è praticamente impossibile. L’unica cosa che aiuta è una combinazione di diversi metodi di rilevamento.
In questo modo, il produttore del software antivirus può garantire un tasso di successo medio del 95%.
Rilevamento dei virus
Si distinguono diverse tecniche di rilevamento. Il rilevamento reattivo di virus semplici è il più comune. Il riconoscimento basato sulla firma o il riconoscimento reattivo funziona nel seguente modo.
Il semplice virus, o meglio il codice sorgente, è scomposto dal software antivirus e scansionato alla ricerca di codice dannoso. Se il rilevamento trova una firma creata in precedenza dal produttore del programma antivirus, viene segnalato un virus.
A seconda dell’accuratezza, garantita da diversi algoritmi, anche gli scanner di firma avanzati con trasformatori a monte offrono tassi di rilevamento molto elevati.
Qui puoi scoprire i vantaggi e gli svantaggi del riconoscimento basato sulla firma. Rilevamento proattivo di malware crittografato. Il rilevamento euristico o basato sul comportamento, valuta i potenziali programmi dannosi in base al loro comportamento.
Questo cosiddetto rilevamento proattivo viene utilizzato negli scanner statici e dinamici (tecnologia sandbox).
Con i virus che cambiano il loro codice ad ogni riproduzione, viene creata ogni volta una nuova firma. I semplici scanner basati su firme non riconoscono più questi programmi dannosi, quindi un trasformatore deve essere collegato a monte.
Ciò “libera” il codice dalle sequenze di byte inserite in aggiunta e ripristina così la firma originale richiesta per il riconoscimento. Lo scanner euristico rileva il nuovo malware molto più velocemente dello scanner delle firme, ma ha anche un tasso più elevato di falsi positivi.
Se le trasformazioni diventano ancora più complesse o i programmi dannosi generano codice completamente nuovo, il software entra in vigore solo su diverse generazioni dello stesso programma dannoso. Quindi né lo scanner basato sulla firma né lo scanner euristico statico sono sufficienti per il rilevamento.
In questi casi, viene utilizzata la sandbox, che è un processo di scansione completamente isolato dal computer reale.
Funzioni di protezione del software antivirus
Un buon programma antivirus non dovrebbe avere solo il rilevamento basato sulla firma ma anche il rilevamento basato sul comportamento. Perché, fino a quando lo sviluppatore non fornisce le nuove firme tramite aggiornamento, possono passare alcune ore, il che potrebbe portare all’infezione totale del tuo hardware.
Una volta rilevato il malware, come qualsiasi malfunzionamento o errore, deve essere risolto. A tal fine sono disponibili i seguenti meccanismi di protezione, a seconda della gamma di funzioni dei programmi antivirus.
- Scanner manuale
- Scanner in linea
- Scansione in tempo reale
- Tecnologia cloud
- Protezione dal phishing
- Protezione da spam
Quando si acquista il software, prestare attenzione alle funzioni che coprono diverse aree. Soprattutto, non lasciarti turbare da altri termini come scansione in tempo reale (protezione in tempo reale), (tecnologia cloud).
Perché anche con un sistema PC sicuro, ricorda che l’anello più debole della catena è quasi sempre l’utente stesso. Nota bene: non installare un secondo programma antivirus sul tuo sistema, in quanto ciò potrebbe solo ostacolare i due motori di scansione.
Anche se ne disattivi completamente uno il tuo sistema non è protetto.
La maggior parte dei problemi delle applicazioni con il software antivirus si verifica in connessione con aggiornamenti difettosi o un database dei virus non aggiornato. Solo chi mantiene aggiornato il proprio programma antivirus può rilevare e rimuovere il nuovo malware in una fase iniziale.
Scansione in tempo reale dell’antivirus
La scansione in tempo reale è efficace, ma può anche portare a conflitti di sistema, poiché i database di grandi dimensioni vengono costantemente controllati e questo rallenta le prestazioni del computer.
Anche all’avvio del sistema, può essere necessario un po’ più di tempo con un buon software antivirus, poiché il programma esegue la scansione del sistema non appena viene avviato.
Un crash completo del software antivirus si verifica spesso quando le risorse di sistema vengono utilizzate in modo eccessivo.
Questo sarebbe il caso, ad esempio, se si aprono diversi programmi durante una scansione del sistema che utilizzano consapevolmente molte prestazioni del computer.
Come funziona il riconoscimento basato sulla firma?
Il rilevamento basato sulle firme esiste sin dai primi virus informatici. In termini semplici, gli scanner basati sulla firma cercano in tutti i file e programmi i codici di malware noto durante la scansione.
La qualità delle cosiddette firme dei virus – correttamente firme di malware, poiché elencano i codici di tutti i programmi dannosi – dipende da come vengono aggiornate dal produttore.
In considerazione dei quasi 50.000 programmi malware scoperti ogni giorno, le firme dovrebbero quindi diventare sempre più estese.
Ma questi richiederebbero troppo spazio di archiviazione sui computer. Pertanto, sono necessarie soluzioni di compromesso per rilevare in modo efficace il maggior numero di malware possibile ed essere comunque utilizzabili allo stesso tempo. Gli scanner avanzati rilevano anche il malware che è stato crittografato più volte.
Una firma non contiene esattamente il codice giusto per ogni singolo malware. Piuttosto, i produttori generano le firme utilizzando determinati algoritmi che contengono le caratteristiche tipiche di diversi programmi malware correlati.
Con l’aiuto degli algoritmi, gli scanner cercano nei programmi corrispondenze più generali. In questo modo è possibile rilevare anche codice dannoso con piccole modifiche.
Nota bene che, per quanto possibile, le firme non devono contenere codici provenienti da programmi utili o innocui per evitare falsi positivi.
I trasformatori collegati agli scanner di firme aiutano anche a garantire che il malware deturpato dalla crittografia possa essere identificato. I codici vengono trasformati in una forma chiara e semplice utilizzando un algoritmo a più fasi.
Anche il malware modificato un numero qualsiasi di volte viene rilevato con l’aiuto dei trasformatori. Vantaggi: creazione rapida della firma e alto tasso di riconoscimento (95%). Possibile rilevamento basato su cloud. Svantaggi: aggiorna le firme con codice dannoso tramite riconoscimento della firma.
Come funziona il rilevamento euristico
Il rilevamento euristico è orientato al comportamento del malware. Viceversa, il rilevamento euristico del malware è anche chiamato rilevamento basato sul comportamento. Gli scanner corrispondenti sono chiamati scanner del comportamento o blocchi del comportamento.
Rilevamento basato sul comportamento di base. Il termine euristico risale al greco antico “heurisko” e significa “trovo“. L’euristica descrive una procedura analitica che quasi conferma affermazioni pre-formulate con conoscenze limitate e metodi empirici – in linea di principio un sistema di autoapprendimento e perfezionamento.
A causa della rapida crescita di nuovi malware, il metodo convenzionale di rilevamento basato sulla firma non è più sufficiente.
Questo è il motivo per cui i produttori di programmi antivirus e antimalware fanno sempre più uso della tecnologia del rilevamento euristico. Questi includono tecniche sandbox o i cosiddetti IDS (Intrusion Detection System).
Poiché gli scanner che funzionano in modo euristico riconoscono anche programmi dannosi per i quali non esistono ancora firme, si parla di rilevamento proattivo o procedure proattive.
Abbiamo detto che gli scanner euristici valutano i programmi in base al loro comportamento. In questo modo, ad esempio, possono essere rilevati nuovi trojan e rootkit, mascherati da programmi effettivamente utili. Se il malware è sconosciuto, non può essere identificato dalla sua firma.
In parole povere, gli scanner euristici analizzano questi programmi dannosi in base al loro intento originale e all’applicazione effettivamente eseguita. Se l’intento previsto e l’esecuzione effettiva si discostano l’uno dall’altro, il software antimalware blocca il programma dannoso e suggerisce ulteriori passaggi di neutralizzazione (passaggio in quarantena, rimozione).
Esistono fondamentalmente due metodi diversi: il metodo di scansione euristica statica e dinamica.
Vantaggi: gli scanner euristici riconoscono anche il malware sconosciuto. Svantaggi: gli scanner euristici hanno un tasso di falsi allarmi più elevato rispetto agli scanner di firma.
Scansione statica o dinamica degli antivirus
Gli scanner euristici statici utilizzano database per controllare file e programmi. Questi database elencano modelli di byte che corrispondono a comportamenti e azioni specifici.
Se, durante il confronto, i modelli di comportamento di determinati codici dannosi si applicano a quelli del database interrogato, i codici vengono classificati come malware.
A differenza degli scanner euristici dinamici, gli scanner statici sono relativamente convenienti in termini di risorse e, in combinazione con gli scanner basati su firme, offrono una protezione ottimale contro il nuovo malware. Uno scanner statico è buono quanto il suo database.
Se un database non contiene un modello di byte basato sul comportamento su misura per un malware specifico, il codice dannoso non può essere riconosciuto come tale. Gli scanner euristici dinamici creano un computer virtuale che isola l’intero processo di scansione dal computer reale.
Questo metodo, non pericoloso per il sistema, è anche chiamato tecnologia sandbox dal nome “SandBox” sviluppato dal produttore norvegese Norman.
Gli scanner dinamici osservano i programmi dannosi mentre vengono eseguiti e analizzano il loro comportamento. Ad un certo punto verranno scoperti anche virus e worm che sono stati crittografati più volte, nonché trojan perfettamente mimetizzati.
Soprattutto, gli scanner dinamici sono utilizzati dai laboratori dei produttori e dagli istituti di test come base preziosa per la creazione di firme aggiornate. Vantaggi: gli scanner dinamici osservano e scoprono il malware senza danneggiare il sistema effettivo.
Svantaggi: gli scanner dinamici richiedono troppe risorse per rilevare nuovo malware e troppo tempo per essere utilizzati da utenti domestici o piccole imprese.
